Kravene fra Gmail, Yahoo og Microsoft

Modul 5: Omdømme og de store modtagere · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du opstille de krav, som Gmail, Yahoo og Microsoft stiller til alle afsendere og til bulkafsendere, forklare hvad afmelding med ét klik er, og holde dit eget domæne op mod disse krav.

Nøglebegreber: afsenderretningslinjer, bulkafsender (5.000 om dagen), SPF eller DKIM, SPF og DKIM, DMARC med mindst p=none, tilpasning (alignment), PTR og FCrDNS, TLS, klageprocent (0,1% og 0,3%), List-Unsubscribe, One-Click (RFC 8058), Postmaster Tools, SNDS, 550 5.7.515

Hvorfor disse krav findes

Gmail, Yahoo og Microsoft (Outlook.com, Hotmail, Live.com, MSN) modtager tilsammen en stor del af al personlig mail. I lang tid var SPF, DKIM og DMARC "anbefalet". I oktober 2023 meldte Google og Yahoo ud, at de fra februar 2024 ville stille krav. Microsoft fulgte efter for Outlook.com og de andre forbrugeradresser med krav, der håndhæves fra maj 2025.

Kravene skal modvirke forfalskede afsendere og uønsket massemail. For de fleste små afsendere betyder det: sørg for at grundlaget fra modul 4 er i orden. Sender du nyhedsbreve eller meget transaktionsmail, kommer der mere oveni.

Krav til alle

Gmail og Yahoo stiller disse krav til alle afsendere til deres brugere:

Derudover siger Google: udgiv dig ikke for at være Gmail. Sender du mail med en @gmail.com-adresse som afsender via en anden server end Googles egen (for eksempel via en nyhedsbrevstjeneste), fejler du på DMARC: den server må ikke underskrive på vegne af gmail.com og står ikke i SPF-recorden for gmail.com. Google skriver, at Gmail behandler sådan mail med en karantænepolitik. Send derfor altid fra en adresse på dit eget domæne.

Ekstra krav til bulkafsendere

Google kalder dig en bulkafsender, hvis du på 24 timer sender omkring 5.000 mails eller mere til personlige Gmail-adresser. Mail fra underdomæner tæller med hos hoveddomænet. Og vigtigt: har du først nået den grænse én gang, forbliver du bulkafsender. Statussen udløber ikke. Yahoo bruger ikke et fast tal, Microsoft bruger også 5.000 om dagen.

For bulkafsendere kommer der yderligere:

1. SPF og DKIM skal begge være sat op (ikke kun én af dem).
2. DMARC skal være til stede, med mindst p=none. En strengere politik er tilladt, men ikke påkrævet. Yahoo anbefaler kraftigt en rapportadresse (rua).
3. Tilpasning (alignment): domænet i den synlige From:-adresse skal stemme overens med SPF-domænet (Return-Path) eller DKIM-domænet (d=). Det er præcis det, DMARC kontrollerer (lektion 4.4). Kort sagt: mailen skal bestå DMARC.
4. Afmelding med ét klik for markedsførings- og abonnementsmail, plus et tydeligt synligt afmeldingslink i teksten.
5. Behandle afmeldinger inden for to dage.
6. Klager under 0,3%, og helst under 0,1%.

Det stemmer præcis overens med anbefalingen fra modul 4: begynd med DMARC på p=none og en rapportadresse. Dermed opfylder du kravet uden risiko for, at din egen mail bliver afvist.

Microsoft: SPF og DKIM og DMARC

Microsoft stiller disse krav til afsendere af 5.000 eller flere mails om dagen til Outlook.com, Hotmail, Live.com og MSN (alle med samme domæne i From:-adressen):

• SPF skal bestå;
• DKIM skal bestå;
• der skal findes en DMARC-record, mindst p=none, og mailen skal bestå DMARC.

Læg mærke til forskellen: ved DMARC er én af de to nok (SPF eller DKIM, tilpasset). Microsoft kræver for bulkafsendere, at begge består. Mail, der ikke lever op til kravene, går ikke i mappen Uønsket, men bliver afvist med:

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Et domæne, der består DMARC via DKIM, men hvor SPF fejler (for eksempel fordi en tjeneste mangler i SPF-recorden), kan altså stadig få denne fejl.

Afmelding med ét klik

Ved et nyhedsbrev forventer modtagerne et afmeldingslink. Gmail, Yahoo og Apple Mail viser desuden deres egen knap "Afmeld" øverst i mailen. Den knap fungerer med to headere:

List-Unsubscribe: <https://nieuwsbrief.example/afmelden?id=8f3a2c>, <mailto:afmelden@example.com?subject=afmelden>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe (RFC 2369) angiver en eller flere måder at afmelde på: en webadresse og/eller en mailadresse.
• List-Unsubscribe-Post: List-Unsubscribe=One-Click (RFC 8058) betyder: sender du en POST-forespørgsel til den webadresse, er modtageren straks afmeldt. Uden ekstra side, uden login, uden "er du sikker?".

Begge headere skal være omfattet af DKIM-signaturen, så ingen kan ændre dem undervejs (det kræver RFC 8058). En nyhedsbrevstjeneste ordner dette for dig. Sender du selv, skal du selv bygge det (lektion 7.2).

Hvad sker der, hvis du ikke lever op til kravene?

Google siger, at mail, der ikke lever op til kravene, midlertidigt eller permanent kan blive afvist, eller ende i spam. Siden november 2025 skærper Gmail håndhævelsen yderligere. Fejlmeddelelserne er specifikke (en fuld liste findes i lektion 6.2), for eksempel:

En kode med et 4-tal er midlertidig (den afsendende server prøver igen senere), en kode med et 5-tal er permanent (lektion 6.1).

Måling: Postmaster Tools og SNDS

Du kan ikke kigge ind i modtagernes postkasser, men de store modtagere giver faktisk tal:

• Google Postmaster Tools (postmaster.google.com): efter bekræftelse af dit domæne med en TXT-record ser du blandt andet klageprocenten, om din mail består SPF, DKIM og DMARC, og om der krypteres. Du ser først tal, når du sender nok mail til Gmail.
• Microsoft SNDS (Smart Network Data Services): data pr. IP-adresse. Kun nyttigt, hvis du har din egen IP-adresse (lektion 6.4).
• Yahoo Sender Hub: Yahoos eget sted for afsendere, med en klagefeed.

Sender du via en nyhedsbrevstjeneste, viser den tjeneste som regel selv klageprocenten pr. udsendelse.

I praksis

For en almindelig forretningsmailboks hos et hostingfirma eller en mailtjeneste kommer du som regel allerede igennem kravene til alle: udbyderen sørger for PTR og TLS, og du sørger for SPF, DKIM og en DMARC-record. Hos WebOké viser kortet Angiv e-mail i Mit WebOké pr. record, om det er korrekt; hos andre udbydere hedder sådan en kontrol noget andet, eller du bruger et uafhængigt værktøj som internet.nl.

Sender du nyhedsbreve, hører SPF og DKIM hos afsendelsestjenesten med til dette (egen DKIM-nøgle på dit domæne, lektion 4.3 og 7.1), en DMARC-record og en afmeldingsknap, der fungerer med ét klik.

Opsummering

• Alle: SPF eller DKIM, korrekt PTR, korrekt opbyggede beskeder, TLS, klager under 0,3%.
• Bulkafsendere (fra omkring 5.000 om dagen, og det forbliver du): SPF og DKIM, DMARC med mindst p=none, tilpasning, afmelding med ét klik, afmeldinger behandlet inden for to dage.
• Microsoft kræver af bulkafsendere, at SPF og DKIM begge består, ellers 550 5.7.515.
• Afmelding med ét klik = List-Unsubscribe med en https-adresse plus List-Unsubscribe-Post: List-Unsubscribe=One-Click.
• Mål med Google Postmaster Tools, Microsoft SNDS eller tallene fra din afsendelsestjeneste.

Quiz

Opgave

Opgave Z5.3: Dit domæne holdt op mod kravene. Indtast dit eget domæne og en DKIM-selector, som du har fundet i headerne på en egen mail (s= i DKIM-Signature, lektion 4.3). Angiv for hvert krav, om du tror, du lever op til det: SPF til stede og gyldig, DKIM-nøgle fundet, DMARC til stede med en gyldig p, rapportadresse til stede, PTR for din MX-server er korrekt. Programmet foretager de samme kontroller live og sammenligner resultatet med din vurdering. Intet eget domæne? Brug så sidn.nl (uden DKIM-selector).

Læs mere

Trinnene i disse artikler gælder for WebOkés paneler; hos andre udbydere fungerer det på lignende vis.

• Min e-mail kommer ikke frem eller havner i spam: sådan finder du ud af det
• Hvad er DMARC? Forklaring i almindeligt sprog
• Må jeg sende en mailing via din hostingpakke hos WebOké?
• WebOké vejledning 6.7: Kortet Opsæt e-mail (MX, SPF, DKIM, DMARC)
• Google, Retningslinjer for afsendere: https://support.google.com/a/answer/81126
• Yahoo, Sender best practices: https://senders.yahooinc.com/best-practices/
• Microsoft, Fejl 550 5.7.515 i Outlook.com: https://support.microsoft.com/en-us/outlook/fix-ndr-error-550-5-7-515-in-outlook-com
• RFC 8058 (afmelding med ét klik)